Dr. Karl Ulrich Volz, Seeweg 3, 8274 Gottlieben, Schweiz. Kontakt für alle Fragen zum Datenschutz: ulrich@volz.swiss. Vollständige Angaben im Impressum.

Eine Datenschutzbeauftragte Person ist nicht benannt; die Voraussetzungen dafür liegen bei einer Anwendung dieses Zuschnitts nicht vor.

Die Anwendung verarbeitet Gesundheitsdaten. Das sind besonders schützenswerte Personendaten (Art. 5 lit. c revDSG) beziehungsweise besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Konkret:

• Kontodaten: E-Mail-Adresse, ein Passwort-Hash (scrypt, mit eigenem Salt je Konto — das Passwort selbst wird nie gespeichert), Zeitpunkt der Anmeldung.
• Profil: Geburtsdatum, Geschlecht, Grösse, Gewicht, Körperzusammensetzung, Diagnosen, Medikamente, Ruhepuls- und HRV-Korridore, Gewohnheiten zu Ernährung, Schlaf und Bewegung.
• Tageseinträge: Befinden in eigenen Worten, Schlafdauer und -architektur, HRV, Ruhepuls, Wearable-Werte, Temperaturabweichung, Schritte, Trainingsdaten, Tagebuchtext.
• Monatswerte: Messungen aus einer Körperwaage sowie monatlich fortgeschriebene Reihen aus dem Wearable — etwa Erholungszeit, Belastung und Ausdauerkennzahlen.
• Laborwerte aus selbst eingetragenen Bluttests samt Datum und Labor.
• Zugangsdaten des Wearable-Kontos: das Zugriffs- und das Erneuerungstoken des Ring-Herstellers nebst Ablaufzeitpunkt, sofern die Anbindung eingerichtet wurde.
• Technisches: ein Sitzungs-Cookie und — nur wenn die tägliche Erinnerung eingeschaltet wird — die Geräteadresse beim Push-Dienst nebst Zeitzone.

Der grösste Teil dieser Angaben wird selbst eingetragen. Wer die Anbindung an sein Wearable-Konto einrichtet, lässt die Anwendung zusätzlich die dort bereits vorhandenen Tages- und Monatswerte abrufen — nur auf ausdrückliche Anweisung und nur in den Bereichen, die weiter unten benannt sind. Ohne diesen Schritt verbindet sich die Anwendung mit keinem Wearable-Konto.

Ausschliesslich dazu, dir deine eigenen Werte einzuordnen, daraus eine Tagesorientierung abzuleiten und Verläufe zu zeigen. Es findet keine Werbung, kein Tracking, keine Reichweitenmessung und kein Profiling zu Werbezwecken statt. Die Daten werden nicht verkauft und nicht zum Training von Modellen verwendet.

Die Verarbeitung beruht auf der ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO, Art. 6 Abs. 7 lit. a revDSG). Sie wird mit der Einrichtung des Kontos erteilt: Ohne die Eingabe von Gesundheitsdaten hat die Anwendung keinen Zweck, eine Nutzung ohne diese Daten ist nicht möglich.

Für die technisch notwendigen Angaben — Sitzungs-Cookie, Passwort-Hash — tritt das berechtigte Interesse am sicheren Betrieb hinzu (Art. 6 Abs. 1 lit. f DSGVO, Art. 31 revDSG).

Die Einwilligung lässt sich jederzeit widerrufen — durch Löschen des Kontos unter Konto. Die Rechtmässigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. Die Verbindung zum Wearable-Konto lässt sich einzeln und ohne Kontolöschung trennen; die gespeicherten Token werden dabei entfernt.

In einer einzelnen Datenbankdatei auf dem Server, auf dem diese Anwendung läuft. Serverstandort: Schweiz. Es gibt keine zweite Datenbank, keinen Analysedienst und kein Content-Delivery-Netz.

Der Anbieter der Serverleistung verarbeitet die Daten ausschliesslich weisungsgebunden als Auftragsverarbeiter und greift inhaltlich nicht auf sie zu.

Anthropic (Sprachmodell). Ist auf dem Server ein API-Schlüssel hinterlegt, werden für die frei formulierten Textteile — Einordnung, Buch-Impuls, Trainingskonzept, Supplement-Protokoll, Tagebuch-Prosa — die dafür nötigen Angaben an Anthropic übermittelt: die berechneten Werte und dein eingegebener Freitext des jeweiligen Tages sowie der passende Buchauszug. Nicht übermittelt werden E-Mail-Adresse, Passwort und Name. Die Verarbeitung erfolgt in Vereinigte Staaten; sie erfolgt weisungsgebunden als Auftragsverarbeitung, die Übermittlung in ein Drittland ist vertraglich abgesichert. Die übermittelten Inhalte werden nicht zum Training von Modellen verwendet.

Ring-Hersteller (Oura). Wer die Anbindung einrichtet, wird zur Anmeldung auf die Seite des Herstellers geleitet und erteilt dort die Erlaubnis. Danach ruft der Server die Werte in seinem Namen ab. Übermittelt werden dabei nur die Zugangsdaten und der abgefragte Zeitraum — es fliesst kein Datum aus dieser Anwendung zum Hersteller, die Richtung ist ausschliesslich die umgekehrte. Angefordert werden genau zwei Berechtigungen: die täglichen Zusammenfassungen (Schlaf, Bereitschaft, Aktivität) und die Stresswerte. Die weiteren acht Bereiche, die der Hersteller anbietet — darunter E-Mail-Adresse, Personendaten, Herzfrequenz und Sauerstoffsättigung — werden bewusst nicht angefordert. Für die beim Hersteller gespeicherten Daten gilt dessen eigene Datenschutzerklärung.

Hochgeladene Dokumente und Fotos. Wer einen Laborbefund oder das Foto einer Supplement-Dose einliest, übermittelt diese Datei vollständig an Anthropic — beim Laborbefund also auch alles, was sonst noch darauf steht: Name, Geburtsdatum, Fallnummer, überweisende Praxis, Marker, welche die Anwendung selbst gar nicht führt. Die Datei wird auf dem Server nicht gespeichert; sie besteht nur für die Dauer dieser einen Anfrage. Wer das nicht möchte, erfasst die Werte von Hand — das Formular bleibt dafür vollständig erhalten.

Diktate. Der Text aus dem Diktatfeld wird an Anthropic übermittelt, damit er den Feldern zugeordnet werden kann.

Wie das Gesprochene zu Text wird, hängt davon ab, welchen Weg du nimmst — es gibt drei, und sie unterscheiden sich genau hier. Das Mikrofon der Tastatur (auf dem iPhone und iPad) schreibt auf dem Gerät beziehungsweise beim Hersteller des Betriebssystems; die Anwendung bekommt nur den fertigen Text und nimmt selbst keinen Ton auf. Die Spracherkennung des Browsers arbeitet ebenso ausserhalb dieser Anwendung — je nach Browser auf dem Gerät oder beim Hersteller des Browsers. Ein eigener Transkriptionsdienst ist auf diesem Server nicht eingerichtet: Es verlässt also keine Tonaufnahme den Server.

Ohne hinterlegten Schlüssel verlässt kein Datum den Server: Die Anwendung rechnet vollständig weiter und formuliert aus Vorlagen. Diktat, Befund- und Etikett-Erkennung stehen dann nicht zur Verfügung; erfassen lässt sich alles weiterhin von Hand.

Push-Dienst (nur bei eingeschalteter Erinnerung). Die Mitteilung geht an die Adresse, die dein Browser selbst geliefert hat — bei einem iPhone an Apple, bei Chrome an Google. Der Inhalt ist mit Schlüsseln verschlüsselt, die nur dein Gerät besitzt; der Dienst sieht, dass eine Nachricht kam, nicht was darin steht. In der Meldung steht ohnehin kein Messwert, sondern nur die Aufforderung zum Check-in — morgens und abends. Dazu kommt ein Hinweis, wenn der Lebenssinn-Index seit einem Monat nicht erhoben wurde; er nennt keinen einzigen Wert, nur dass er ansteht. Am Geburtstag kommt ein Glückwunsch, der das erreichte Alter nennt; wer das auf einem Sperrbildschirm nicht sehen möchte, lässt die Erinnerung aus.

Ein einziges Cookie, für die Anmeldung. Es enthält eine Zufallszeichenfolge; in der Datenbank steht nur deren SHA-256-Hash. Beim Einrichten der Wearable-Anbindung kommt für wenige Minuten ein zweites hinzu, das ausschliesslich der Rückkehr von der Anmeldeseite des Herstellers dient und danach verfällt. Keine Cookies von Dritten, keine Analyse-Skripte, keine Zählpixel — deshalb auch kein Cookie-Banner.

Wird die Anwendung als App auf dem Home-Bildschirm installiert, speichert sie auf dem Gerät ausschliesslich Programmdateien und Symbole zwischen — keine Seite mit Werten, keine Antwort mit Gesundheitsdaten. Das ist eine bewusste Entscheidung: Zwischengespeicherte Gesundheitsdaten lägen unverschlüsselt auf dem Gerät und überdauerten dort das Abmelden.

Solange das Konto besteht. Beim Löschen des Kontos werden alle zugehörigen Daten gelöscht — Profil, Tageseinträge, Monatswerte, Laborwerte, Erkenntnisse, Sitzungen, Push-Abos und die Zugangsdaten des Wearable-Kontos.

Es werden keine Sicherungskopien der Datenbank vorgehalten. Wird das eingerichtet, gehört die Aufbewahrungsfrist hier vermerkt.

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf der Einwilligung. Zwei davon sind in der Anwendung selbst eingebaut und brauchen keine Anfrage:

• Alles herunterladen: unter Konto als JSON, unter Logbuch zusätzlich als lesbares Markdown.
• Alles löschen: unter Konto, unwiderruflich.

Alles Übrige über die Kontaktadresse in Abschnitt 1. Beschwerderecht bei der Aufsichtsbehörde: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern. Personen mit gewöhnlichem Aufenthalt in der EU können sich zusätzlich an die für sie zuständige Datenschutzbehörde wenden.

Die Verbindung ist durchgehend mit TLS verschlüsselt. Passwörter liegen als scrypt-Hash mit eigenem Salt je Konto. Der Datenzugriff im Programm ist konstruktiv an ein Konto gebunden, sodass eine Abfrage ohne Kontokennung technisch nicht möglich ist. Beim Passwortwechsel verfallen alle bestehenden Sitzungen. Die Zugangsdaten des Wearable-Kontos bleiben auf dem Server und werden nie an den Browser ausgeliefert.

Es gibt keine Passwort-Zurücksetzung per E-Mail. Das ist Absicht: Ein Rücksetzweg über ein Postfach wäre ein zweiter Zugang zu Gesundheitsdaten. Wer sein Passwort verliert, verliert den Zugang; der Betreiber kann ein neues setzen, sieht die Daten dabei aber nicht.

Ein absoluter Schutz ist bei keinem über das Internet erreichbaren System möglich.

Diese Erklärung wird angepasst, wenn sich die Anwendung ändert. Massgeblich ist die hier veröffentlichte Fassung.